• 信服智创 | 参与得豆!2026技术征文大赛正式启幕!目录:一、项目背景二、现网问题分析三、方案设计与实现四、实施过程与关键步骤五、效果验证六、项目价值总结 一、项目背景 1.1 企业概况 杭州某供应链企业,主要为上下游合作方提供订单、库存及物流相关系统服务。业务系统数量不多,但均为日常生产核心系统,对稳定性和访问连续性要求较高。 业务经年扩展,外部访问需求逐步增加,包括分支人员、合作方以及移动办公场景。 1.2 现网访问方式 企业于2018年部署SSL VPN作为远程访问入口,整体使用方式较为固定: (1)用户需安装SSL VPN客户端 (2)通过客户端建立连接后接入内网 (3)再通过“域名 + 端口”访问具体业务系统 该模式在早期运行稳定,能够满足基本远程接入需求。 1.3 改造触发因素 本次改造由多方面因素共同推动: (1)设备生命周期到期 现有SSL VPN设备将于2026年进入EOS阶段,后续不再提供版本更新与技术支持,继续使用存在一定风险。 (2)终端环境变化 鸿蒙NEXT系统逐步落地,原有依赖客户端的接入方式在新终端上的适配存在不确定性,需要提前规划替代方案。 (3)设备运行年限较长 设备已运行多年,在稳定性和后续扩展能力方面存在一定隐患。 (4)访问需求发生变化 用户对访问方式提出了新的要求: ·希望能够管控业务系统里的个别模块 ·外部访问与内部访问希望有区分 在上述背景下,企业开始评估新的远程访问方案。 二、现网问题分析 2.1 生命周期带来的运行风险 设备即将进入EOS阶段,现网方案在长期运行上存在不确定性: (1)后续无法获得安全更新与漏洞修复 (2)出现问题时缺乏厂商支持 (3)无法满足持续运行与合规要求 2.2 新终端环境下的适配问题 当前远程访问依赖客户端方式,在传统终端环境下运行稳定,但在新终端体系(如鸿蒙NEXT)中存在潜在问题: (1)客户端适配情况不明确 (2)后续终端扩展存在不确定性 2.3 访问控制能力不足 现网SSL VPN主要解决“能访问”的问题,但在实际使用中,企业管理要求提升,逐步出现以下情况: (1)内外网访问缺乏差异的认证方式 (2)部分业务系统需要限制具体URL路径访问 因此,我们推荐客户引入零信任atrust进行替换SSL VPN。 三、方案设计与实现 3.1 设计原则 (1)不影响现有SSL VPN业务、平滑切换 (2)保持原有业务访问方式不变(域名 + 端口) (3)优先满足当前需求(终端适配、精细化访问控制等等) 3.2 整体方案说明 改造后访问路径与原SSL VPN类似: 用户终端 ↓ aTrust / SSL VPN ↓ 业务系统 业务系统访问方式未改变,仅对访问入口进行替换。 3.3 访问控制实现方式 结合当前需求,访问控制设计保持简化,主要实现以下几点: (1)用户与系统对应关系 ·不同用户访问指定业务系统 ·未授权系统不可访问 (2)内外网访问区分 ·内网访问:保持相对宽松认证策略 ·外网访问:增加二次认证、增强认证等 (3)URL级访问控制 ·对特定URL路径进行访问控制 ·限制部分功能访问权限 3.4 实施方式设计 (1)业务系统保持不变 ·原有访问地址不调整 ·不影响业务系统配置 (2)分阶段切换 ·新访问方式逐步上线 ·用户分批迁移 (3)并行运行 ·SSL VPN与新方案短期并行 ·出现问题可快速回退 四、实施过程与关键步骤 4.1 准备阶段 (1)现网梳理 ·梳理用户、业务系统及访问路径 ·记录原SSL VPN策略和使用情况 (2)aTrust部署 ·完成设备部署 ·完成网络及接入配置等基础配置 (3)网络与出口策略配置(需要客户配合操作) ·配置出口设备端口映射(使用公网IP+新端口),将aTrust的接入端口443与隧道端口441映射在公网,与SSL VPN并行。 ·配置内外网DNS域名解析,确保新访问入口正常解析 ·配置访问策略,允许aTrust设备IP访问业务系统 4.2 配置阶段 在基础部署完成后,进行设备配置: (1)用户配置 对接客户现有AD域用户目录 (2)认证策略 设置内网和外网访问的差异化认证策略 (3)应用配置 ·在aTrust上发布业务系统 ·配置应用访问路径,确保用户通过入口访问业务系统 (4)授权配置 根据用户组配置业务系统访问权限 (5)安全管控策略 配置URL级访问控制,确保关键功能和资源的访问安全 4.3 切换阶段 在策略验证完成后,采用分批切换方式将用户迁移至aTrust新访问入口: (1)按部门或业务系统批次逐步迁移 (2)与原SSL VPN短期并行运行,确保业务连续性 (3)完成全量用户切换后,正式停用原SSL VPN 五、效果验证 5.1 验证项目 (1)用户登录验证:确保所有用户能够正常登录 aTrust 访问入口 (2)业务系统访问验证:确认用户可访问其授权的业务系统 (3)内外网认证策略验证:验证内网与外网访问策略差异生效 (4)URL 级访问控制验证:确认关键路径和受控功能按策略限制访问 5.2 验证结果 (1)用户登录:用户能顺利登录 aTrust,无异常报错。 (2)业务系统访问:用户仅能访问其授权的业务系统,权限控制准确生效。 (3)内外网认证策略:内网访问保持正常认证流程,外网访问的二次认证、增强认证策略均按设计生效。 (4)URL 级访问控制:关键路径和受控功能访问严格受控,未授权访问被有效阻断。 (5)业务连续性:迁移过程中与 SSL VPN 并行运行,用户体验平稳,业务访问不中断。 六、项目价值总结 6.1 安全价值 (1)访问入口统一:用户访问经过aTrust统一入口认证与策略控制 (2)内外网差异化管理:对不同访问来源用户实施不同认证策略 (3)URL级管控:对关键业务功能路径进行精细控制 (4)减少安全隐患:替换即将EOS的SSL VPN,规避长期安全风险 6.2 运维与管理价值 (1)集中策略管理:用户、应用和安全策略在同一平台管理 (2)简化运维操作:不再需在多台设备上重复配置策略 (3)便于扩展:新用户或新业务系统可快速在aTrust发布并管理 6.3 业务连续性价值 (1)平滑切换:分批迁移+并行运行确保业务不中断 (2)稳定访问:用户体验顺畅,迁移期间访问无异常 (3)终端兼容:不同操作系统和终端设备均可访问业务系统 6.4 项目总结 本项目通过aTrust替换SSL VPN实现了: ·安全可控的访问体系 ·集中的策略管理与维护 ·业务连续性与稳定性保障
    在大模型商业化加速的浪潮下,全球算力集群建设的爆发导致了 CPU、内存及高速 SSD 等核心硬件产能被大量挤占 。硬件交付周期动辄延长至数月,内存价格暴涨,供应链波动已成为长期变量 。 面对有限的预算和业务必须上线的双重压力,IT 建设该如何破局? 在这个特殊的供应链承压期,深信服作为各行业用户数智化道路上的坚定同行者,希望以自己在软件定义领域的积累以及创新技术方案,并结合近期与许多用户的探讨,梳理出两条更为从容、能帮助用户跨越周期的应对路径。 适配用户 已有存量服务器资产(无论是使用 VMware还是国产第三方平台,亦或是深信服超融合平台),当前面临资源瓶颈需要扩容,但因为硬件涨价预算吃紧,希望在原预算下实现新业务上线的用户。 很多时候,数据中心的资源并没有真正耗尽,而是在“空转”了。深信服希望帮用户盘活旧资源,让预算花在刀刃上。 第一步:用AI 智能评估,把浪费的资源“抠”出来 我们提供专业的智能资源评估工具与专家服务 。通过机器学习算法,能够精准扫描并识别出底层平台中长期闲置的“僵尸虚拟机”以及过度分配资源的业务 。通过合理的资源腾挪与清理,往往能直接释放出大量可用的计算空间 。 按实际数据(根据近几月市场最新价格)测算:每释放1GB 内存,相当于节省250-300 元采购成本;每释放1TB 存储空间,可节省采购成本 400-500元。这些隐性浪费资源直接变成看得见收益,资源利用率与成本双双优化。 第二步:内存分层创新技术,打破扩容死结在实际运行中,服务器往往是“CPU 还有富余,但内存已经撑爆了”。面对昂贵的内存条,深信服创新“DRAM + NVMe SSD 内存分层技术”, 用户只需在旧服务器上增加一块高性价比的 NVMe 固态硬盘作为“二级内存” ,就能实现主机可用内存直接翻倍!(最大可达) 实测中,一台128GB物理内存的服务器搭配NVMe盘后,可获得接近256GB的内存使用效果,运行Oracle数据库时TPM稳定在2500左右,性能影响极小,但内存容量直接翻倍。 ➢ 开启内存分层前:物理内存容量128G,占用率高达77%;在Oracle性能测试中,数据库 TPM 2700+。 ➢ 开启内存分层后:原本服务器可获得相当于256G内存使用效果;在Oracle数据库性能测试中,数据库 TPM 平均值稳定2500,性能下降幅度控制在10%以内。 深信服内存分层技术通过 DRAM 与 NVMe SSD 的高效组合,在满足业务内存总需求的同时,可显著降低硬件采购成本。在相同硬件配置、内存分层比例设为 1:1 的前提下,分别以 Intel 三代平台(DDR4 内存)与 Intel 五代平台(DDR5 内存)为例,对比纯 DRAM 采购方案与 DRAM+NVMe SSD 组合方案的内存采购成本,具体节省费用如下: 从上表得知:当内存需求越大,这种“利旧”方案的价值就越明显。当内存总需求从128G提升至512G,单台服务器成本节省最高可达7万元,实现了内存性能与采购成本的平衡,为用户带来更高的投入产出比。 可用内存翻倍的背后有哪些技术支撑? 冷热数据智能分层,全程业务无感 系统自动识别冷热数据——冷数据自动搬到NVMe构建的二级内存,热数据留在DRAM里,全程全自动,业务无感。 实时监控与智能优化,业务不中断 更省心的是,系统实时监控内存冷热置换状态,一旦有异常波动或压力过高,自动触发优化策略,提前规避性能抖动,保障业务连续性。 优化内存交换机制,高峰期稳得住 优化分层场景内核调度与页迁移路径,减少频繁置换带来的性能抖动,高负载下也能稳稳运行。 此外,深信服在底层构建了完备的软件定义可靠性机制(如 HA 2.0、亚健康检测、热迁移等),用软件的冗余算法弥补老旧硬件的物理缺陷,确保盘活后的集群依然能稳定承载核心业务,老设备也能发挥新价值。 适配用户必须要新建IT资源或替换面临退役周期的老旧硬件,但不希望一次性投入巨额采购资金,缺乏专业运维团队,同时对数据安全、物理隔离有严苛要求的用户 。 当存量资源不足以覆盖业务增量,且新硬件采购受阻时,用户亟需更灵活、高性价比的用云新选择——深信服「托管云专属用云解决方案」以“服务化订阅+专属资源”模式,帮助用户快速上线业务,并以严格的专属隔离资源给到用户媲美自建机房的安全感。 | 资金解压:从“重资产买断”转为“按需订阅” 在同等规格下,托管云方案的首年投资较线下自建直降近 60% ,在这个特殊时期,帮用户彻底截断高昂的初期现金流压力 。 | 就近专属,下云无阻力 托管云方案提供的是完全隔离的专属计算与存储资源,可以理解为用户获得的是一朵专属的,在线化的私有云。用户需要时可安心启用资源,不需要时可灵活进退,免费享有上下云迁移服务 ,彻底打消“下云难”的后顾之忧。 | SLA达99.975%,专属管家免运维 云端超200人覆盖8个方向的专业运维团队,7*24小时全栈监控和主动处置,提供高达99.975%的 SLA 和全栈免运维守护,保障客户核心业务稳定可靠运行。 在硬件供给持续不确定的大环境下,深信服坚持以软件定义能力重构资源效率,用技术确定性对冲外部环境的不确定性;以开放兼容的生态,保护用户的每一分现有资产投资,为用户提供真正不绑定、高可靠、低成本的基础设施供给方案。
    客户有两个数据中心分别是数据中心A(主用)、数据中心B(备用)。两个数据中心不在同一位置,要实现两数据中心一主一备。平时主用数据中心A,当数据中心A宕机时自动切换到数据中心B。两数据中心的内部运行业务一致且有裸光纤进行实时数据同步。
    由于某些原因客户需要将超融合虚拟机(VDI虚拟机)迁移到笔记本电脑。
    基金公司作为持牌金融机构,其办公终端上网的安全合规性要求非常严格,用户终端不仅存储着海量的敏感数据,同样也连接着金融专网,因此对于安全的要求是“零容错”’的,没有失败的机会
    • yhl
    • 6k
    • 7
    《新架构网闸高可用配置及HA效果验证案例》 一.需求背景描述1. 网闸作为内外网隔离设备部署在两套防火墙之间2. 当一台网闸设备出现异常,需要进行主备切换快速拉起业务,保障业务连续性3. 主备设备心跳链路需要采用光口双链路聚合,保障设备切换和数据同步4. 需要具备实时监控设备状态能力,以保障主设备故障触发HA机制 二.配置思路1. 根据需求采用高可用模式下的主备模式2. 心跳口使用两个常规业务光口把两台设备直连,并做链路聚合3. 配置心跳口地址,保证心跳口通信4. 由于出厂设备的ID是一样的,先修改设备ID5. 分别启用两台设备高可用功能,配置监控切换条件 三.配置过程1.可以看到设备出厂ID为24tuo6,修改主机为24tuo7,后台更改主机或者备机的id,任意更改一台达到id不一致即可(更改设备后台配置文件涉及进入后台操作请联系400处理)2. 分别配置心跳口链路聚合,配置心跳口IP,并将两台设备直连3. 开启主机集群模式--配置设备信息--开启备机集群模式--配置设备信息--选择一台为主控--选择业务监控口(必须勾选,否则主备测试不会切换)--两台设备配置完成后设备信息都为正常状态(注:选择主控后的设备永远为主控,不可切换角色) 四.效果验证1. 验证双机切换触发HA可以采用的方式(选择其中一种):①关闭主机电源,②拔掉主机业务监控口物理线路,③DOWN掉对端设备连接网闸业务口的接口2. 测试前使用tcping监控业务连续性,然后采用上述切换方法触发HA,观察丢包情况正常丢4-5个包,同时查看备机代理日志,切换完成3. 继续使用tcping监控业务,将主机恢复到正常状态,此时HA会自动触发,主机自动接管业务,查看丢包情况正常丢4-5个包,同时查看主机代理日志,效果验证完成
    精华博文

    覆盖全产品线,汇聚2000+精华、优秀文章,助您更好了解和使用深信服产品!

    技术圆桌

    汇总社区最新、热门话题,点击参与讨论

    问答集锦

    整合社区用户常问问题,查看最新解决方案

    原使用一台华为USG6330型号防火墙,做了一些安全策略,导致公司业务系统受到影响,在更新换代的时候,考虑了深信服的防火墙。
    客户属性为食品加工制造销售类企业,存在大量直接暴露在互联网的to C业务系统,如官网、商城和经营平台等,这些业务系统基本都使用HTTPS形式发布到互联网,由业务系统自身进行SSL加密,在保证了用户到服务器之间数据私密性、完整性和安全性同时也存在诸多问题
    华三防火墙端为分支无公网地址,做野蛮模式,本文分别介绍华三和深信服设备的配置
    客户目前SIP内存较高,需要更换成虚拟化的VSIP,后续所有STA及其他安全设备日志对接到VSIP上,因此原始数据需要全部迁移到VSIP上。
    实践效果:客户端发起连接,可以正常连接服务器,并且网闸可以看到对应代理日志
    客户在内网部署数据库审计系统,以便对天翼云上的应用系统进行风险审计,从而实现风险排查和事后溯源的效果。
    在软件开发中,我们常常面临这样的困境:项目初期充满激情,但随着功能迭代、团队成员变动,代码库逐渐变得臃肿、难以维护;规范文档形同虚设, Review 成本高昂,新成员上手缓慢……这些问题严重制约着项目从“能用”到“好用”的演进,使得从 1 到 100 的开发比从0到1更加困难。
    没有更多了

    哎哟,没有更多内容啦!
    赶紧去多找几个大神关注吧!关注后将在此处优先展示你关注的人发表的最新内容哦!

    哎哟,你还没有关注任何人!
    关注后将在此处优先展示你关注的人发表的最新内容哦!赶紧去找大神吧!

专业 | 开放 | 共享
深信服社区致力于打造开放共享的技术社区。如有问题,可私信管理员 @七嘴八舌bar或联系 0755-86725929
智能客服总接入量 556w+
论坛总帖数 +1 157999

关注我们了解更多>

关注技术服务公众号

关注微信小程序